Cloudová VPN potřebuje BGP: proč ostatní směrovací protokoly selhávají

IPsec bezpečnostní asociace je nahoře, počítadla tunelu se hýbou a provoz k cloudovému prefixu mizí. Operátor pak zkusí zapnout OSPF na zákaznickém routeru, očekává vytvoření souseda, a nic se nestane. Tunel nikdy nebyl chybějící díl: spravovaná cloudová VPN vystavuje definovaný směrovací kontrakt a na velkých platformách je tím kontraktem BGP. Dokud neexistuje relace a není přijat prefix, je tunel jen šifrovaná cesta bez cílů za sebou.

Tunel je nahoře a trasa chybí

Dokončení fáze 1 a fáze 2 dokazuje, že se strany shodují na ochraně, ne že některá z nich ví, kam posílat provoz. To jsou oddělené stavové automaty s oddělenými režimy selhání.

Ptejte se ve třech krocích: byl prefix oznámen, byl přijat protistranou a byl nainstalován pro předávání? Prefix, který byl oznámen a odfiltrován, je problém politiky. Prefix, který nebyl nikdy oznámen, je problém relace nebo konfigurace. Prefix, který byl přijat, ale nebyl nainstalován, je problém výběru trasy, a každá odpověď ukazuje na jinou část konfigurace.

Co vám poskytovatel skutečně dává

Spravovaná VPN brána není neomezený router. Poskytovatel vám dává bránu s podporovanými adresami protistran, nastavením autonomního systému, limity prefixů a definovaným chováním při selhání. Ten povrch je produkt.

Google Cloud dokumentuje dynamické směrování BGP pro HA VPN, kde se Cloud Router učí trasy protistran a dodává způsobilé vlastní dynamické trasy do VPC. AWS Site-to-Site VPN dokumentuje volbu mezi statickým a dynamickým směrováním a popisuje kontroly živosti BGP jako užitečné pro přepnutí tunelu, zároveň podporuje i kontroly stavu pro zařízení bez BGP. Chování jedné platformy nelze odvozovat z názvu produktu druhé.

Praktickým důsledkem je, že nejprve zvolíte spravovaný režim a potom čtete podporované parametry. Návrh, který předpokládá typ sousedství, který služba nenabízí, není konfigurační problém k řešení na zákaznickém routeru.

Ochrana tunelu a dostupnost jsou oddělené úlohy

IPsec chrání provoz vybraný pro tunel. BGP dodává informace o dostupnosti, které činí prefix způsobilým. Fungující tunel nedokazuje, že očekávaný prefix byl oznámen, přijat nebo nainstalován.

Představte si pobočku, která oznamuje 10.42.0.0/16 přes dvě způsobilé cesty tunelem. Odeberte jednu použitelnou cestu a volba trasy se může změnit, aniž by kdokoli upravoval trasu každé zátěže. Detekce, výběr trasy a obnova aplikace nejsou okamžité a nejsou mezi nasazeními totožné, takže test přepnutí musí sledovat celou posloupnost, ne první paket, který projde.

Když je cloudový prefix nedostupný, zkontrolujte stav relace a naučené trasy, než se dotknete kryptografie. Aktivní SA bez trasy za sebou je nejčastější podoba tohoto symptomu.

Kde se předpoklady o OSPF lámou

OSPF, IS-IS nebo jiný protokol uvnitř tunelu IPsec je zcela možný na samostatně spravovaném zařízení, kde vlastníte oba konce i návrh předávání. Tato skutečnost neříká nic o spravované službě, která nabízí jako režim dynamického směrování pouze BGP.

Pokud navržené řešení potřebuje sousedství, které služba nepodporuje, změňte architekturu záměrně. Možnosti zahrnují samostatně spravované zařízení ve VPC, statické směrování tam, kde ho služba podporuje, nebo jiný produkt pro konektivitu. Konfigurace protokolu pouze na zákaznickém routeru nemůže přidat protistranu na straně cloudu, která neexistuje, a nedonutí prefix se objevit.

Nepřenášejte odpověď jednoho dodavatele na bránu jiného. Stejná slova, jako dynamické směrování nebo přepnutí tunelu, mohou popisovat různé mechanismy a různé limity.

Přečtěte si požadavek služby a pak navrhujte

Před prvním řádkem konfigurace zapište adresy sousedů, čísla autonomních systémů, prefixy, které budete oznamovat a přijímat, limity tras a očekávané chování při selhání tunelu. Těchto pět položek je kontrakt, proti kterému navrhujete.

Potom ověřujte ve stejném pořadí: relace navázána, prefix přijat, trasa přítomna ve směrovací tabulce VPC a skutečný tok na adresu služby. Opakujte po vynuceném přepnutí, protože relace, která se znovu naváže, se může vrátit s jinou sadou tras. Pokud návrh závisí na konvergenci pod sekundu, změřte ji, místo abyste ji předpokládali.

Uchovávejte kontrakt služby spolu se záznamem o změně. Když se někdo později zeptá, proč tunel nemůže provozovat OSPF, odpovědí je hranice produktu, ne omezení protokolu, a záznam by to měl uvádět.